أمن المنتجات وفق ISO/SAE 21434.
الأمن السيبراني بالتصميم لتنقّل الغد.
فجوة ISO/SAE 21434 هو المعيار الدولي للأمن السيبراني في قطاع السيارات. ويحدد المتطلبات والعمليات لحماية المركبات ووحدات التحكم (ECUs) والمكوّنات المتصلة من التهديدات السيبرانية على امتداد دورة حياة المنتج بأكملها.
مع تزايد اتصال المركبات بالشبكات والتحديثات عبر الهواء (Over-the-Air) ووظائف القيادة الذاتية، يرتفع خطر الهجمات السيبرانية المستهدفة. ويضمن أمن المنتجات وفق ISO/SAE 21434 دمج الأمن في التطوير منذ البداية.
ست وحدات — من CSMS حتى سلسلة التوريد.
معياري وقريب من التطوير. يمكن دمج كل وحدة منفردة أو إعدادها كبرنامج أمن سيبراني متكامل.
21434 هو الركيزة — لكنه لا يكفي وحده.
يجمع أمن المنتجات في سياق قطاع السيارات بين ISO/SAE 21434 ولوائح UNECE وCRA وTISAX وحوكمة شاملة وفق ISO 27001.
OWASP ISVS تحليل الفجوات
قيّموا المنتجات المتصلة ومكوّنات IoT بشكل تفاعلي وفق OWASP IoT Security Verification Standard — من المستوى 1 إلى 3، مع مخطط رادار للنضج وخريطة حرارية للفجوات وتقرير جاهز للإدارة.
- 149 جانب فحص
- 5 فصول ISVS
- المستوى 1–3
- تقرير للإدارة
هل يحتوي جهازكم على ذكاء اصطناعي؟ إذن لا يكفي الاختبار التقليدي.
للروبوتات والكاميرات المدعومة بالذكاء الاصطناعي والمساعدات الصوتية والذكاء الاصطناعي الطرفي (Edge AI)، نجمع بين اختبار اختراق الأجهزة وIoT، واختبارات LLM، ومحاكاة الهجمات السيبرانية-المادية (Red Teaming) – مع نمذجة التهديدات وفق STRIDE × MAESTRO.
- OWASP LLM Top 10
- OWASP AISVS
- OWASP ISTG
- IoT Top 10
- CRA وEN 18031
من فحص مستوى النضج حتى اعتماد النوع.
ست خطوات — متوافقة مع مراحل التطوير ومواعيد التدقيق ومهل R155.
- 01
تحليل الفجوات ومستوى النضج
الوضع الحالي مقارنة بـ ISO/SAE 21434 وR155 وR156 وCRA. وتحديد الفجوات الحرجة في عمليات CSMS والهندسة وسلسلة التوريد.
- 02
إنشاء CSMS
إرساء الحوكمة والأدوار وإدارة المخاطر والثغرات الأمنية — بما يؤهّل لاعتماد النوع.
- 03
TARA وأهداف الأمن السيبراني
تحليل منهجي للتهديدات لكل معمارية مركبة ومكوّن. واشتقاق أهداف الحماية ومتطلبات الأمن.
- 04
التطوير الآمن
دمج ممارسات التطوير الآمن: نمذجة التهديدات، وتحليل الشيفرة، واختبار الاختراق، ومفاهيم HSM، وSecure Boot، وأمن OTA.
- 05
إدارة المورّدين
ترسيخ متطلبات الأمن السيبراني تعاقديًا، وتقييمات Tier-1/Tier-2، وتدفقات أدلة الإثبات عبر سلسلة التوريد.
- 06
التدقيق والتشغيل
التحضير للتدقيق، ومرافقة اعتماد النوع، وبناء Vehicle SOC، والتحسين المستمر على امتداد دورة الحياة.
أبرز الشائعة حول أمن المنتجات.
ما الفرق بين ISO/SAE 21434 وUNECE R155؟
UNECE R155 لائحة ملزمة لاعتماد النوع — فبدون دليل إثبات CSMS لن تحصلوا اعتبارًا من يوليو 2024 على اعتماد نوع لفئات المركبات M وN وO. أما ISO/SAE 21434 فهو المعيار المنهجي الذي يصف كيف يجب بناء CSMS. أي أن R155 يفترض مسبقًا ما يحدده 21434. وعمليًا يمثّل 21434 المخطط التنفيذي الملموس، وR155 الالتزام.
هل يتأثر موردو Tier-1 وTier-2 مباشرة بـ R155؟
ليس مباشرة — فمصنّع المعدات الأصلية (OEM) هو الملتزم تجاه UNECE R155. لكن الـ OEM ينقل متطلبات ISO/SAE 21434 تعاقديًا إلى مورديه. وبالتالي يجب على Tier-1 وTier-2 التسليم بما يطابق CSMS وTARA وSDLC، وإلا استُبعدوا كموردين. ونساعد الموردين على جعل عملياتهم ملائمة لمتطلبات الـ OEM.
كم يستغرق إنشاء CSMS؟
واقعيًا 12–24 شهرًا لنظام CSMS كامل حتى الجاهزية للتدقيق — بحسب مستوى النضج ومحفظة المنتجات. ومن ذلك عادةً 3–6 أشهر لتحليل الفجوات وخارطة الطريق، و6–12 شهرًا للإنشاء والتجربة، و3–6 أشهر للتعميم والتدريب والتحضير للتدقيق.
ما العلاقة بين ISO/SAE 21434 وCRA؟
يتناول كلا المعيارين الأمن السيبراني للمنتجات المتصلة، لكن بشكل مختلف حسب القطاع. فـ ISO/SAE 21434 خاص بقطاع السيارات (مع إلزامية R155)، أما CRA فأفقي ويسري على جميع المنتجات المتصلة ذات العناصر الرقمية. وبالنسبة للمركبات: يستوفي 21434 جزءًا كبيرًا من متطلبات CRA، لكن ليس جميعها. ونربط مجموعتي المتطلبات في إطار متكامل لأدلة الإثبات.
هل تقدّمون أيضًا اختبارات اختراق لوحدات ECU في المركبات؟
نعم — كجزء من SDLC أو بشكل منفصل. نختبر عتاد ECU والبرمجيات الثابتة واتصالات الناقل (CAN وLIN وFlexRay وAutomotive Ethernet) والواجهات اللاسلكية (Bluetooth وWiFi وV2X) والاتصالات مع الأنظمة الخلفية (OTA والاتصالات التليماتية). ومنهجيًا نعمل وفق OWASP IoT وISO/SAE 21434 Annex G ومنهجيتنا الخاصة لاختبار الاختراق في قطاع السيارات.
نصنع منتجات صناعية وليس سيارات — هل ينطبق ذلك علينا؟
ISO/SAE 21434 خاص بقطاع السيارات، لكن منهجيته قابلة للنقل على نطاق واسع. وبالنسبة للمنتجات الصناعية فإن الأكثر صلة هي IEC 62443-4 (التطوير الآمن للمنتجات) أو ISO/IEC 27034 أو متطلبات CRA. ونخدم أيضًا شركات صناعة الآلات ومصنّعي الأجهزة الطبية ومنتجي IoT — فالممارسات الهندسية (TARA وSecure Boot ونمذجة التهديدات وSDLC) عابرة للقطاعات.
احموا مؤسستكم الآن!
تواصلوا معنا للحصول على استشارة فردية وحل أمني مصمم وفق متطلباتكم.
Valeri Milke، الرئيس التنفيذي لـ VamiSec
«فقط عندما تتناغم جميع الأدوات جيدًا، تصبح مؤسستكم آمنة وممتثلة.»